Se ha identificado una vulnerabilidad crítica en la versión distribuida a través de PyPI de PLY (Python Lex-Yacc) 3.11, que permite la ejecución arbitraria de código mediante la deserialización insegura de archivos pickle no confiables. La vulnerabilidad, registrada como CVE-2025-56005, afecta al parámetro no documentado picklefile en la función yacc(), el cual no aparece en la documentación oficial a pesar de estar presente en la versión de producción. La vulnerabilidad surge del parámetro yacc(picklefile=…), que invoca pickle.load() en archivos controlados por el atacante